O slideshow foi denunciado.
Utilizamos seu perfil e dados de atividades no LinkedIn para personalizar e exibir anúncios mais relevantes. Altere suas preferências de anúncios quando desejar.

権威DNSサービスのダイバーシティ @ 20171130 DNSOPS.jp BoF

716 visualizações

Publicada em

権威DNSサービスのダイバーシティ @ 20171130 DNSOPS.jp BoF

Publicada em: Internet
  • Entre para ver os comentários

権威DNSサービスのダイバーシティ @ 20171130 DNSOPS.jp BoF

  1. 1. ©DMM.com LABO 権威DNSサービスのダイバーシティ 高嶋隆一 Internet Week 2017 DNSOPS.jp BoF
  2. 2. ©DMM.com LABO 背景 2 コンテンツプロバイダは サーバロードバランシングを用いたサーバ冗長 GSLBを利用したサイト間冗長 パブリッククラウドやCDNを用いた個別コンテンツ分散 等様々な冗長化技術を使ってリスク分散をしているが、 その親ゾーンの権威DNSサーバが参照できなくなればおしまい
  3. 3. ©DMM.com LABO 事業担当部門からのリクエスト 3 事業担当部門からも、対DDoS耐性を含む権威DNSサーバへの可用性向 上のリクエストが発生。事業によってはそもそもの必要条件となって いるものもあり。 (例)
  4. 4. ©DMM.com LABO 4 この要件、どう解決するか https://commons.wikimedia.org/wiki/Sport_wrestling_(Mundja)#/media/File:WrestlingUSAF_Flag.jpg Public Domain
  5. 5. ©DMM.com LABO オンプレミスの強化 5 対DDoS防御ネットワーク装置の導入 サーバロードバランシングや網内Anycastによるスケールアウト 等の対策が考えられるが、いずれの対策も高コストな上、 データセンタ内外のネットワーク障害、上位ISPの障害等には無力
  6. 6. ©DMM.com LABO 外部DNSサービスの導入 6 DDoS対策サービスを用意しているものを選定する 十分なキャパシティを用意しているサービスを選定する 事は可能だが、どんなにメジャーなサービスも止まる時は止まる
  7. 7. ©DMM.com LABO 100%のSLAを持つサービスは存在しない 7 Dyn Statement on 10/21/2016 DDoS Attack • https://dyn.com/blog/dyn-statement-on-10212016-ddos-attack/ Global DNS outage hits Microsoft Azure customers • http://www.zdnet.com/article/global-dns-outage-hits-microsoft-azure- customers/ AWS Route53 DNS Outage – Impacts Last Almost a Full Day • https://mwork.io/2017/03/14/aws-route53-dns-outage-impacts-last- almost-a-full-day/
  8. 8. ©DMM.com LABO 8 単一でダメなら 組み合わせれば いいじゃない = ダイバーシティ http://www.hq.nasa.gov/office/pao/History/alsj/a15/ap15-S71-42217HR.jpg Public Domain
  9. 9. ©DMM.com LABO 複数の権威DNSサービスの利用 9 候補 オンプレ 外部DNSサービス • クラウド事業者のDNSサービス • 専業のDNSサービスプロバイダ • ISPのDNSサービス
  10. 10. ©DMM.com LABO オンプレ 10 可能な限りがんばる サーバロードバランシング 台数を増やしたスケールアウト 複数ネットワーク、拠点への分散配置 DDoS防御装置の導入(できれば) しかし、投資、維持運用コストもそれなりにかかるので、 複数の外部DNSサービスを利用できるのであれば 「使わない」というオプションもある。
  11. 11. ©DMM.com LABO 外部サービス 11 要件 BGP Anycast、異国間地域分散、キャパシティ等DDoS対策が十分 取れている事 複数サービスを利用する為、専用の方法以外で外部のDNSサービス と連携が取れる事
  12. 12. ©DMM.com LABO クラウド事業者のDNSサービス 12 性能、DDoS対策の観点では申し分ないのだが、やはり提供事業者のク ラウド内での利用を想定したものとなっている。 ◯ DDoS対策、キャパシティ × 全てのRRがサポートされているわけではない × ゾーン転送はサポートされていない。 他サービスとの併用を考える時にはAPIを使った同期ツールを作成し、 APIの更新に合わせて保守する必要がある
  13. 13. ©DMM.com LABO 専業のDNSサービスプロバイダ 13 条件さえ盛り込めば、可用性、データ同期共に可能なDNSサービスプ ロバイダが存在する ◯ DDoS対策、キャパシティについては、それを売り物にした複数の サービス(*)が存在 ◯ データの同期についても複数のDNSサービスプロバイダが AXFR/IXFR等の標準ベースの同期をサポート ? DDoS対策、キャパシティを鑑みればコストは安いが会社によって は? (*)条件を満たすDNSサービスプロバイダの例 https://dyn.com/ https://www.akamai.com/jp/ja/products/cloud-security/fast-dns.jsp https://www.neustar.biz/security/dns-services
  14. 14. ©DMM.com LABO ISPの権威DNSサービス 14 回線の付加サービスとなっているケースが多くピンキリだが、 たまにアタリが・・・ ? DDoS対策、キャパシティについては素晴らしい設備があるプロバイ ダから物理サーバ1台しかないところまでピンキリ ◯ データの同期については、殆どのAXFR/IXFR等の標準ベースの同期 をサポート ◯ サービス扱いの為、妙に安い時がある × 回線を買っていないと買えない時がある × ダッシュボードとかなくて申込書がいったりする時がある
  15. 15. ©DMM.com LABO というわけで・・・ 15
  16. 16. ©DMM.com LABO これが 16 $ dig ns dmm.com @8.8.8.8 ~~snip~~ ;; ANSWER SECTION: dmm.com. 899 IN NS ns1.dmm.com. dmm.com. 899 IN NS ns2.dmm.com. dmm.com. 899 IN NS ns4.dmm.com. ~~snip~~ オンプレ 2017年5月以前:権威DNSサーバはオンプレミスにのみ存在
  17. 17. ©DMM.com LABO こうじゃ 17 $ dig ns dmm.com @8.8.8.8 ~~snip~~ ;; ANSWER SECTION: dmm.com. 899 IN NS ns1.dmm.com. dmm.com. 899 IN NS ns2.dmm.com. dmm.com. 899 IN NS ns4.dmm.com. dmm.com. 899 IN NS dns-a.iij.ad.jp. dmm.com. 899 IN NS a9-67.akam.net. dmm.com. 899 IN NS a1-198.akam.net. dmm.com. 899 IN NS a13-64.akam.net. dmm.com. 899 IN NS a12-67.akam.net. dmm.com. 899 IN NS a14-65.akam.net. dmm.com. 899 IN NS a18-66.akam.net. ~~snip~~ オンプレ DNSサービスその1 DNSサービスその2 オンプレと複数のDNSサービスプロバイダへ権威DNSサーバを分散配置
  18. 18. ©DMM.com LABO ポイント 18 オンプレ含む複数のDNSサービスを利用して全落ちは避ける DDoS対策も取れたDNSサービスプロバイダを選んで全落ちは避ける データ同期はAXFR/IXFRを利用したレガシーなスタイルで保守コス トと将来のサービス変更を容易に
  19. 19. ©DMM.com LABO 結論 19 複数の権威DNSサービスを使って、 自社のサービスを守ろう!
  20. 20. ©DMM.com LABO Thank you ! 20

×